May 2025 – Page 4 – IoT OT Security News

Arista CloudVision の脆弱性 CVE-2025-0505 (CVSS 10) が FIX：容易な悪用に要注意

Arista Patches Critical Vulnerability in CloudVision ZTP With CVSS 10 Score

2025/05/10 SecurityOnline — Arista Networks が発行したのは、新たに発見された脆弱性 CVE-2025-0505 (CVSS：10.0) に関する緊急セキュリティ・アドバイザリである。この脆弱性は、Zero Touch Provisioning (ZTP) 機能の実装方法に起因し、オンプレミス環境の CloudVision Portal および CloudVision CUE に影響を及ぼす。

Google とテキサス州が 14億ドルの罰金で合意：不正な位置追跡と生体認証データの収集

Google Pays $1.375 Billion to Texas Over Unauthorized Tracking and Biometric Data Collection

2025/05/10 TheHackerNews — Google がテキサス州と合意したのは、ユーザーの同意を得ることなく、個人位置情報を追跡し、顔認識データを保持したとして提起された、２件の訴訟を和解するために $1.375 billion を支払うことだ。この支払い額は、他州からの同様の訴訟において、Google が支払った罰金を大きく上回っている。2022年11月に Google は、40州の連合に対して $391 million を支払い、また、2023年12月にはインディアナ州およびワシントン州に $29.5 million を、そして、同年 9月にはカリフォルニア州との和解で $93 million を支払っている。

Gemini Nano vs. テック・サポート詐欺：Chrome の新機能で即時検出

Google Chrome to use on-device AI to detect tech support scams

2025/05/09 BleepingComputer — Google が発表したのは、組み込みの LLM である Gemini Nano を活用する、新しい Chrome セキュリティ機能の実装である。その機能はというと、Web の閲覧中にテクニカル・サポート詐欺を検出／阻止するものだ。テクニカル・サポート詐欺とは、悪意の Web サイトでユーザーを欺き、その PC にウイルス感染やシステム不具合が生じていると見せかける手口である。それらの悪意の警告は、フルスクリーンのブラウザ・ウィンドウやポップアップとして表示され、ユーザーの操作を妨げる特徴がある。

Microsoft Entra ID を狙うクラウド侵害キャンペーン：レガシー認証の盲点とは？

Legacy Login in Microsoft Entra ID Exploited to Breach Cloud Accounts

2025/05/09 hackread — Microsoft Entra ID のレガシー認証プロトコルの脆弱性を悪用する標的型攻撃キャンペーンが、サイバー・セキュリティ企業 Guardz により検出された。このキャンペーンにおいて、攻撃者たちは、多要素認証 (MFA：Multi-Factor Authentication) などの最新のセキュリティ対策を回避しているという。

SAP NetWeaver の脆弱性 CVE-2025-31324：積極的な悪用を支える中国の攻撃インフラが見えてきた

Chinese hackers behind attacks targeting SAP NetWeaver servers

2025/05/09 BleepingComputer — SAP NetWeaver インスタンスに影響を及ぼす、最も深刻度の高い脆弱性を狙う攻撃が、中国の脅威アクターにより進行中であると、Forescout Vedere Labs のセキュリティ研究者たちが結論付けている。SAP が 4月24日にリリースしたのは、NetWeaver Visual Composer における認証を必要としないファイル・アップロードの脆弱性 CVE-2025-31324 に対処する緊急パッチである。その直前に、サイバー・セキュリティ企業 ReliaQuest が、この脆弱性が攻撃の標的となっていると確認したが、そこから数日後にパッチがリリースされたことになる。

Apple macOS の脆弱性 CVE-2024-44236 が FIX：カラー・マネジメントを介したメモリ破損の恐れ

Researchers Uncover Remote Code Execution Flaw in macOS – CVE-2024-44236

2025/05/09 gbhackers — Apple の macOS Scriptable Image Processing System (sips) に存在するメモリ破損の脆弱性 CVE-2024-44236 に関する詳細を、Trend Micro のセキュリティ研究者 Nikolai Skliarenko と Yazhi Wang が公開した。Trend Micro の Zero Day Initiative を通じて Hossein Lotfi が発見した、この脆弱性は、悪意を持って作成された ICC プロファイル・ファイルを介して、任意のコード実行を可能にするものだ。

Cisco SD-WAN の脆弱性 CVE-2025-20147／20221 が FIX：XSS と Filter Bypass と PoC

Cisco SD-WAN Vulnerabilities: PoC Exists for XSS and Filter Bypass

2025/05/09 SecurityOnline — Cisco が公表したのは、SD-WAN ソフトウェア・スイートに存在する、蓄積型クロスサイト・スクリプティング (XSS) およびトラフィック・フィルタ・バイパスの脆弱性に関するアドバイザリであり、潜在的な悪用リスクについてユーザに警告している。これらの脆弱性 CVE-2025-20147／CVE-2025-20221 の脆弱性は Medium レベルのリスクをもたらすものだが、パッチを適用せずに放置すると、不正なデータ・インジェクションやトラフィック操作の可能性が生じる。

Microsoft Azure／Power Apps の４つの脆弱性が FIX：CVE が提供されるがユーザーによる対応は不要

Microsoft Patches Four Critical Azure and Power Apps Vulnerabilities, Including CVSS 10 Privilege Escalation

2025/05/09 SecurityOnline — Microsoft が発表したのは、Azure Automation／Azure Storage／Azure DevOps／Microsoft Power Apps などの、複数のコア・クラウド・サービスに影響を与える、一連の深刻な脆弱性への対処である。これらの脆弱性は、いずれも公開されておらず、実際に悪用された例もないが、その潜在的な影響が浮き彫りにするのは、クラウド・ネイティブ開発環境における積極的なセキュリティ対策の重要性である。

Arista CloudVision Portal の脆弱性 CVE-2024-11186 が FIX：不適切なアクセス制御の可能性

Arista Fixes Critical CloudVision Portal Vulnerability with CVSS 10 Score

2025/05/09 SecurityOnline — Arista Networks が公開したのは、CloudVision Portal (CVP) ソフトウェアに存在する、深刻な脆弱性 CVE-2024-11186 (CVSS：10.0) に関するセキュリティ・アドバイザリである。この脆弱性の悪用に成功した認証済みのユーザーは、管理対象 EOS デバイスに対して広範な操作を実行する機会を得るため、ネットワーク・インフラ全体が侵害される可能性が生じる。

ポスト・クォンタムのセキュリティ：耐量子暗号化の導入は５％に過ぎない – DigiCert 調査

Just 5% of Enterprises Have Deployed Quantum-Safe Encryption

2025/05/08 InfoSecurity — DigiCert によると、米国／英国／オーストラリアの企業の大多数は、量子コンピューティングにより５年以内に、現在の暗号化が破られると考えているようだが、現時点では耐量子暗号 (PQC：post-quantum cryptography) の導入には至っていないようだ。

IXON VPN クライアントの脆弱性 CVE-2025-26168／26169 が FIX：ローカル権限昇格の恐れ

IXON VPN Client Vulnerability Allows Privilege Escalation for Attackers

2025/05/08 gbhackers — 広く利用されている IXON の VPN クライアントに存在するセキュリティ脆弱性により、Windows／Linux／macOS システムに対する、ローカル権限昇格攻撃の恐れが生じている。この脆弱性により、権限のないユーザーであっても、ルート権限またはシステム・レベルのアクセス権を取得する機会を得られる。

Radware Cloud Web App Firewall の脆弱性 CVE-2024-56523／56524 が FIX：フィルター・バイパスの恐れ

Radware Cloud Web App Firewall Flaw Allows Attackers to Bypass Security Filters

2025/05/08 gbhackers — Radware の Cloud Web Application Firewall (WAF) に存在する２件の深刻な脆弱性が、CERT/CC のセキュリティ研究者たちにより発見された。この脆弱性 CVE-2024-56523／CVE-2024-56524 を悪用する攻撃者は、セキュリティ・フィルターをバイパスし、保護されている Web アプリへ向けた悪意のペイロードの配信を可能にする。これらの脆弱性が浮き彫りにするのは、非標準の HTTP リクエストや特殊文字を含むユーザー入力データを、WAF が処理する方法の根本的な弱点である。これらの脆弱性は 2025年5月7日に公表され、最近のアップデートで修正が示唆されているが、現時点でも Radware は公式に認めていない。

CISA KEV 警告 25/05/07：GeoVision の脆弱性 CVE-2024-6047／11120 を登録

U.S. CISA adds GoVision device flaws to its Known Exploited Vulnerabilities catalog

2025/05/08 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、GeoVision の脆弱性 CVE-2024-6047 と CVE-2024-11120 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。いずれも、未認証の攻撃者に対して、コマンド・インジェクションを許す脆弱性である。

Cisco IOS／XE／XR の脆弱性 CVE-2025-20154 が FIX：リモートのリブートとサービス拒否 (DoS) 状態

Cisco IOS, XE, and XR Vulnerability Allows Remote Device Reboots

2025/05/08 gbhackers — Cisco が発行したのは、広く使用されている IOS／IOS XE／IOS XR ソフトウェアに存在する、深刻な脆弱性に対する緊急セキュリティ・アドバイザリ (cisco-sa-twamp-kV4FHugn) である。この脆弱性 CVE-2025-20154 を悪用する未認証の攻撃者は、リモートからデバイスを強制的に再起動させ、サービス拒否 (DoS) 状態を引き起こす可能性を手にする。

SentinelOne EDR のアップグレード・プロセスの脆弱性を悪用：新たな回避手法 Bring Your Own Installer とは？

Hacker Finds New Technique to Bypass SentinelOne EDR Solution

2025/05/08 InfoSecurity — 多くの組織において標準的なサイバー・セキュリティ製品となっている EDR (Endpoint Detection and Response) ソリューションだが、それらが万全だとは決して言えない。5月5日に公開された新たなレポートで、Aon 傘下の Stroz Friedberg インシデント対応チームの研究者たちは、広く使用されている EDR ソリューションである、SentinelOne を回避する新たな手法を発見したと表明している。

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

MirrorFace という脅威：強力なカスタム・マルウェアを武器に日本と台湾の組織を狙う

MirrorFace Targets Japan and Taiwan with ROAMINGMOUSE and Upgraded ANEL Malware

2025/05/08 TheHackerNews — MirrorFace として知られる国家主導の脅威アクターが、日本と台湾の政府機関および公的機関を標的とするサイバー・スパイ活動の一環として、ROAMINGMOUSE と呼ばれるマルウェアを展開していることが確認された。2025年3月の時点で Trend Micro が検知した活動は、スピアフィッシングのルアーを用いて、ANEL と呼ばれるバックドアの最新バージョンを配信するものだ。

SonicWall SMA 100 の脆弱性 CVE-2025-32819／32820／32821 が FIX：SSLVPN アカウントに関連

Multi Vulnerabilities Found in SonicWall SMA 100 Series Prompt Urgent Security Update

2025/05/08 SecurityOnline — SonicWall が公開したのは、Secure Mobile Access (SMA) 100 Series に影響を及ぼす、複数の脆弱性に関するセキュリティ・アドバイザリである。このアドバイザリで取り上げられるのは、影響を受けるシステムへの侵入を、攻撃者がに許す可能性のある、深刻な３つの脆弱性である。

Apache ActiveMQ の脆弱性 CVE-2025-27533 が FIX：メモリ割り当ての問題と DoS 攻撃

CVE-2025-27533: Apache ActiveMQ Memory Allocation Bug Could Lead to Denial of Service

2025/05/08 SecurityOnline — 複数のプロトコルとクロス・プラットフォーム統合を強力にサポートする、OSS のメッセージ・ブローカー Apache ActiveMQ に、深刻なメモリ割り当ての脆弱性 CVE-2025-27533 が発見され、サービス拒否 (DoS) 攻撃が引き起こされる可能性が生じている。

IGEL OS の脆弱性 CVE-N/A が FIX：ネットワーク・コンフィグの欠陥による権限昇格

Critical Privilege Escalation Flaw in IGEL OS Exposes Systems to Root Access Risks

2025/05/08 SecurityOnline —IGEL Technology が発行したのは、Linux ベースのオペレーティング・システム IGEL OS に存在する、深刻な権限昇格の脆弱性に関するセキュリティ・アドバイザリである。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で root レベルのアクセス権限を取得する可能性を手にする。IGEL のアドバイザリには、「IGEL OS のネットワーク・コンフィグ・メカニズムに、権限昇格型の脆弱性が発見された。この脆弱性を悪用する、適切な権限を持たないユーザーが、root としてコマンドを実行する可能性がある」と記されている。

AI と NHI：増え続ける非人間 ID の管理がセキュリティの強化と効率化のカギになる

How agentic AI and non-human identities are transforming cybersecurity

2025/05/08 HelpNetSecurity — 平均的な企業において、NHI (non-human identities) の数と、従業員／請負業者／顧客の数を比較すると、10対1 〜 92対1 の割合で、前者が上回っているという。それに加えて、人間のアイデンティティ管理における断片化という問題もある。具体的に言うと、オンプレミス／クラウド／ハイブリッドなど複数の環境へのアクセスを、１人の人物に対して許可することで生じる問題であり、それにより、企業の IAM (identity and access management) は、きわめて困難な時代を迎えている。

Cisco IOS XE Wireless LAN の脆弱性 CVE-2025-20188 が FIX：完全な制御奪取の恐れ

Cisco IOS XE Wireless Controllers Vulnerability Lets Attackers Seize Full Control

2025/05/08 gbhackers — Cisco IOS XE Wireless LAN Controllers (WLC) に存在する、深刻なセキュリティ上の欠陥が明らかにされた。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるデバイスの完全な制御の可能性を手にする。この脆弱性 CVE-2025-20188 が悪用されると、任意のファイルがアップロードされ、ルート権限でのコマンド実行が達成されるため、世界中の企業のワイヤレ・スネットワークに重大な脅威を生じる恐れがある。

SysAid の４つの脆弱性が FIX：XXE インジェクションと PoC の提供

SysAid Patches 4 Critical Flaws Enabling Pre-Auth RCE in On-Premise Version

2025/05/07 TheHackerNews — SysAid のオンプレミス版に、複数のセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが明らかにした。これらの脆弱性を悪用されると、昇格された権限を介して、認証を必要としないリモートコード実行が可能となり、この IT サポート・ソフトウェアに深刻なリスクが生じる。一連の脆弱性 CVE-2025-2775／CVE-2025-2776／CVE-2025-2777 は、XML External Entity (XXE) インジェクションと説明されており、アプリケーションによる XML 入力の解析に、攻撃者が干渉した場合に発生する。

Microsoft CLFS の脆弱性 CVE-2025-29824：ランサムウェア攻撃での積極的な悪用を観測

Zero-Day CLFS Vulnerability (CVE-2025-29824) Exploited in Ransomware Attacks

2025/05/07 SecurityOnline — Microsoft の Common Log File System (CLFS) ドライバに存在する、ゼロデイの権限昇格の脆弱性 CVE-2025-29824 を悪用する高度な攻撃を、Symantec の Threat Hunter Team が発見した。この脆弱性を積極的に悪用するのは、Play ランサムウェア (PlayCrypt) を背後で操る、脅威グループ Balloonfly である。2025年4月8日の時点で、脆弱性 CVE-2025-29824 には公式パッチがリリースされているが、それに先行して、この活動は発生していた。

Elastic Kibana の脆弱性 CVE-2025-25014 (CVSS：9.1) ：任意のコード実行にいたる恐れ

Severe Kibana Flaw Allowed Attackers to Run Arbitrary Code

2025/05/07 gbhackers — Elastic Kibana プラットフォームに発見された、新たなセキュリティ脆弱性により、数千の企業がリスクにさらされている。この脆弱性の悪用に成功した攻撃者は、標的とするシステム上において、任意のコード実行の可能性を手にする。この脆弱性 CVE-2025-25014 の CVSS スコアは 9.1 と非常に高いため、ユーザー組織に求められるのは、速やかなデプロイメントの更新となる。Elastic のアナウンスメント (ESA-2025-07) によると、脆弱性 CVE-2025-25014 はプロトタイプ汚染に起因するものであり、攻撃者に対し、リモートからの任意のコード実行を許す可能性があるという。

GeoVision の製造中止 IoT 機器の脆弱性 CVE-2024-6047／11120：ボットネット LZRD による悪用を観測

Botnet Exploits Old GeoVision IoT Devices via CVE-2024-6047 & CVE-2024-11120

2025/05/07 SecurityOnline — GeoVision の製造中止となった IoT デバイスに存在する、２つのコマンド・インジェクション脆弱性が積極的に悪用されていることを、Akamai の Security Intelligence and Response Team (SIRT) が特定した。Akamai は、「2024年6月／11月に公開された、脆弱性 CVE-2024-6047／CVE-2024-11120 が、積極的に悪用された初めての事例となる」と述べている。

cpp-httplib の脆弱性 CVE-2025-46728 が FIX：メモリ枯渇と DoS 攻撃の可能性

CVE-2025-46728: cpp-httplib Vulnerability Exposes Servers to Denial of Service

2025/05/07 SecurityOnline — C++11 のファイル・ヘッダーのみで構成され、セットアップの容易さで知られている、クロス・プラットフォーム HTTP/HTTPS ライブラリである cpp-httplib が、深刻なセキュリティ脆弱性に直面している。先日に確認された、脆弱性 CVE-2025-46728 を悪用する脅威アクターは、このライブラリを使用するアプリケーションに対して、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。

CISA KEV 警告 25/05/06：FreeType の脆弱性 CVE-2025-27363 を登録

U.S. CISA adds FreeType flaw to its Known Exploited Vulnerabilities catalog

2025/05/07 SecurityAffairs — Cybersecurity and Infrastructure Security Agency (CISA) は、FreeType の脆弱性 CVE-2025-27363 (CVSS：8.1) を Known Exploited Vulnerabilities (KEV) カタログに追加した。2025年3月中旬に Meta は、この境界外書き込みの脆弱性が、攻撃で悪用されている可能性があると警告していた。

フェイク Discord パッケージと RAT：PyPI から 11,500+ のダウンロード

Researchers Uncover Malware in Fake Discord PyPI Package Downloaded 11,500+ Times

2025/05/07 TheHackerNews — Python Package Index (PyPI) リポジトリ上で、無害な Discord 関連ユーティリティを装いながら、リモートアクセス型トロイの木馬 (RAT) を取り込んでいる悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。この問題のパッケージは “discordpydebug” であり、2022年3月21日に PyPI にアップロードされている。すでに、このパッケージは 11,574回もダウンロードされており、PyPI レジストリ上で引き続き提供されている。興味深いことに、このパッケージは、それ以降において更新されていない。

Browser Use の脆弱性 CVE-2025-47241 が FIX：内部サービスへの不正アクセスの恐れ

CVE-2025-47241: Critical Whitelist Bypass in Browser Use Exposes Internal Services

2025/05/07 SecurityOnline — AI エージェントに対してブラウザ自動化機能を提供するツール Browser Use プロジェクトに、深刻な脆弱性が存在することを、ARIMLABS.AI のセキュリティ研究者たちが明らかにした。この CVE-2025-47241 (CVSS：9.3) を悪用する攻撃者は、URL の HTTP 認証ユーザー名パートに偽のドメインを埋め込むことで、ドメイン・ホワイトリスト保護を回避していくという。

OpenCTI の脆弱性 CVE-2025-24977 が FIX：Root-Level 攻撃の可能性

CVE-2025-24977: Critical RCE Flaw in OpenCTI Platform Exposes Infrastructure to Root-Level Attacks

2025/05/07 SecurityOnline — サイバー脅威インテリジェンスの管理に用いられる OSS ソリューション OpenCTI プラットフォームに、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-24977 (CVSS：9.1) を悪用する攻撃者は、ホスティング・インフラ上でコマンドを実行し、機密情報へのアクセスを可能にするという。

AWS Amplify Studio 脆弱性 CVE-2025-4318 (CVSS v4：9.5) が FIX：直ちにアップデートを！

Critical AWS Amplify Studio Flaw Allows Code Execution – Update Now!

2025/05/07 SecurityOnline — AWS Amplify Studio の amplify-codegen-ui パッケージに、深刻なセキュリティ脆弱性が発見された。この脆弱性は CVE-2025-4318 として追跡されており、CVSS v4 におけるスコアは 9.5 であり Critical と評価されている。この脆弱性を悪用する攻撃者は、任意の JavaScript コード実行を達成するため、深刻なセキュリティ侵害の可能性が生じている。

Samsung MagicINFO の脆弱性 CVE-2024-7399：PoC 公開と悪用の観測

Samsung MagicINFO flaw exploited days after PoC exploit publication

2025/05/06 SecurityAffairs — Samsung の CMS (Content management system) である MagicINFO の脆弱性が、PoC エクスプロイトの公開からわずか数日で、攻撃者たちにより悪用され始めたことが判明した。この脆弱性 CVE-2024-7399 (CVSS：8.8) は、Samsung MagicINFO 9 Server 21.1050 未満に存在し、制限されたディレクトリへのパス名の不適切な制限に起因する。この脆弱性の悪用に成功した攻撃者は、システム権限で任意のファイルを書き込む可能性を手にすると、Arctic Wolf の研究者たちは指摘している。

SAP NetWeaver の脆弱性 CVE-2025-31324：第二波の攻撃を観測

Second Wave of Attacks Hitting SAP NetWeaver After Zero-Day Compromise

2025/05/06 SecurityWeek — SAP NetWeaver インスタンスに存在する、ゼロデイ脆弱性を悪用する脅威アクターたちが、第二波の攻撃を開始していると、エンタープライズ・アプリケーション・セキュリティ Onapsis が警告している。このゼロデイ脆弱性 CVE-2025-31324 (CVSS：10.0) は、2025年4月の Security Patch Day の速報を SAP が更新し、この脆弱性に対処する新たな注記を追加した後の、4月24日に公開されたものだ。

Google の FreeType on Android の脆弱性 CVE-2025-27363 が FIX：任意のコード実行の恐れ

Google fixes actively exploited FreeType flaw on Android

2025/05/06 BleepingComputer — Google は、Android 向けの 2025年5月セキュリティ・アップデートをリリースした。このアップデートでは、45件のセキュリティ脆弱性が修正されているが、その中には、現在も悪用されている FreeType 2 のゼロクリック・コード実行の欠陥も含まれる。FreeType は、人気の OSS フォント・レンダリング・ライブラリであり、画像の表示や、プログラムによるテキストの追加にも対応している。この脆弱性 CVE-2025-27363 は、深刻度の高い任意のコード実行を許すものであり、Facebook のセキュリティ研究者たちにより、2025年3月に発見された。

Apache Pinot のミスコンフィグ：Kubernetes との組み合わせで生じる欠陥への攻撃 – Microsoft

Microsoft Warns of Attackers Exploiting Misconfigured Apache Pinot Installations

2025/05/06 SecurityWeek — Kubernetes のセキュリティについて Microsoft が実施した調査により、Apache Pinot のミスコンフィグのあるインスタンスを、脅威アクターたちが標的にしていることが明らかになった。Apache Pinot は、大規模なデータセットを高速かつ低レイテンシでクエリできるように設計された、OSS のリアルタイム分析プラットフォームである。それが評価され、Walmart／Uber／Slack／LinkedIn／Wix／Stripe などの世界有数の企業で、Pinot は使用されている。

WordPress OttoKit Plugin の脆弱性 CVE-2025-27007 が FIX：すでに悪用が始まっている

CVE-2025-27007: Critical OttoKit WordPress Plugin Flaw Exploited After Disclosure, 100K+ Sites at Risk

2025/05/06 SecurityOnline — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン OttoKit に発見された深刻な脆弱性により、無数の Web サイトがセキュリティ侵害の危険にさらされている。この脆弱性 CVE-2025-27007 (CVSS 9.8) は、Denver Jackson により発見され、Patchstack ゼロデイ・バグ報奨金プログラムを通じて公開された。そして、公開から１時間も経たないうちに悪用が始まってしまったという。

Windows Deployment Services (WDS) のサービス拒否の脆弱性：未承認／ゼロクリック／未パッチ

Unauthenticated DoS Vulnerability Crashes Windows Deployment Services, No Patch

2025/05/06 SecurityOnline — Windows Deployment Services (WDS) に発見されたサービス拒否 (DoS) の脆弱性を悪用する、認証を必要としないリモートの攻撃者により、企業ネットワークのクラッシュにいたる恐れがあると、セキュリティ研究者の Zhiniang Peng が詳細な技術分析を提供している。

WSO2 API Manager の脆弱性 CVE-2025-2905 が FIX：XXE 攻撃にいたる恐れ

CVE-2025-2905 (CVSS 9.1): Critical XXE Vulnerability Found in WSO2 API Manager

2025/05/06 SecurityOnline — WSO2 API Manager 2.0.0 以下のバージョンに、XML 外部エンティティ (XXE) の脆弱性が発見された。この脆弱性 CVE-2025-2905 (CVSS：9.1) は、ゲートウェイ・コンポーネントに存在する。同社のアドバイザリによると、この脆弱性は、細工された URL パスを処理する際の、XML 入力の検証不備に起因するとのことだ。WSO2 は、「ユーザーから提供された XML が、十分な制限をかけずに解析されるため、XML 外部エンティティ (XXE) 解決が可能な状況にある」と詳述している。

Digigram PYKO-OUT AoIP の脆弱性 CVE-2025-3927：デフォルト・コンフィグの問題と EOL

Digigram PYKO-OUT AoIP Devices Exposed to Attacks Due to Missing Default Password

2025/05/06 SecurityOnline — Digigram の PYKO-OUT audio-over-IP (AoIP) 製品にセキュリティ上の脆弱性が発見され、BGM やライブ・アナウンスなどのアプリケーションでの使用に懸念が生じている。この脆弱性 CVE-2025-3927 は、ログイン情報やパスワードを必要としないデバイスの、デフォルト・コンフィグレーションに起因するものだ。

Regex Filter の脆弱性：正規表現に対するバックエンド再検証が不可欠な理由とは？

Researcher Exploits Regex Filter Flaw to Gain Remote Code Execution

2025/05/06 gbhackers — フロントエンドの正規表現フィルタ（/^[a-zA-Z0-9]{1,20}$/）により制限されるユーザー名フィールドが、対象となるアプリケーションには含まれており、英数字だけを受け入れるように設計されていた。当初、この方式は堅牢に見えたが、正規表現チェック後に、バックエンドが入力を再検証していないことを、研究者たちが発見した。この見落としにより、特別に細工されたペイロードがクライアント側の制御をバイパスし、サーバ上で任意のコマンドを実行できる状態になっていた。

IBM Cognos Analytics の脆弱性 CVE-2024-51466／40695 が FIX：機密データの漏洩などの恐れ

Critical IBM Cognos Analytics Vulnerabilities Demand Urgent Patching

2025/05/06 SecurityOnline — IBM が公表したのは、主力 BI プラットフォーム Cognos Analytics に存在する、２件の深刻な脆弱性に対処するセキュリティ・アップデートをリリースである。同社のアドバイザリは、これらの脆弱性を悪用する攻撃者は、システムの侵害／機密データの漏洩／サーバー・クラッシュなどを引き起こす可能性があると警告している。

CISA KEV 警告 25/05/05：Langflow の脆弱性 CVE-2025-3248 を登録

CISA Issues Alert on Langflow Vulnerability Actively Exploited in Attacks

2025/05/06 gbhackers — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、Langflow の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性 CVE-2025-3248 の悪用に成功した未認証の攻撃者は、リモートからの悪意のコード実行の可能性を手にするという。したがって、この OSS フレームワークを、Language Model アプリケーションの構築に使用する組織において、深刻なリスクが生じている。

BeyondTrust PRA の脆弱性 CVE-2025-0217 が FIX：特権セッション乗っ取りの恐れ

BeyondTrust PRA Vulnerability (CVE-2025-0217) Enables Session Hijacking via Authentication Bypass

2025/05/05 securityonline — BeyondTrust の Privileged Remote Access (PRA) に、深刻なセキュリティ脆弱性が発見された。PRA を用いて特権セッションを管理する組織にとって、この脆弱性は深刻なリスクとなり得る。同社のアドバイザリによると、この脆弱性はローカル認証のバイパスに関するものであり、CVE-2025-0217 として追跡されている。

MediaTek Chipset の複数の脆弱性が FIX：OEM からのアップデート通知をチェック

MediaTek Fixes Multiple Security Flaws in Smartphone, Tablet, and TV Chipsets

2025/05/05 gbhackers — SmartPhone／Tablet／AIoT／Smart TV 向けチップセット技術のプロバイダーである MediaTek は、製品ポートフォリオの全体にわたる、複数のセキュリティ脆弱性に対処する、重要なパッチをリリースした。新たに公開された MediaTek 製品のセキュリティ速報が説明するのは、脆弱性および、影響を受けるデバイスの範囲、潜在的な影響などの詳細である。

Tenda RX2 Pro に複数の深刻な脆弱性：管理者権限の不正取得の恐れとパッチ未適用の状況

Multiple Flaws in Tenda RX2 Pro Let Attackers Gain Admin Access

2025/05/05 gbhackers — Tenda RX2 Pro Dual-Band Gigabit Wi-Fi 6 Router (ファームウェア V16.03.30.14) に、一連の深刻な脆弱性が存在することを、セキュリティ研究者が発見した。これらの脆弱性の悪用に成功したリモート攻撃者は、デバイスの管理者権限を取得し、多くのケースにおいて、完全なルート権限を取得するとされる。すでに研究者たちが通知を行っているが、Tenda は対応しておらず、パッチも提供されていない。Tenda の Web 管理ポータル／ファームウェア／内部サービスで発見された、11 件の脆弱性には個別の CVE が割り当てられている。

ADOdb PHP Library の脆弱性 CVE-2025-46337 (CVSS 10.0) が FIX：深刻な SQLi の恐れ

Critical SQL Injection Vulnerability Found in ADOdb PHP Library – CVE-2025-46337 (CVSS 10.0)

2025/05/05 SecurityOnline — 世界中で 280万件以上のインストール数を誇る PHP データベースの抽象化ライブラリ ADOdb に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-46337 は、PostgreSQL ドライバの pg_insert_id() メソッドに存在し、脆弱なアプリケーション上での任意の SQL コマンド実行を、攻撃者に許す可能性があるものだ。

Apache Parquet Java の脆弱性 CVE-2025-46762 が FIX：メタデータに埋め込まれた悪意のコードの自動実行

Apache Parquet Java Vulnerability Enables Remote Code Execution

2025/05/05 gbhackers — Apache Parquet Java に、深刻度の高い脆弱性 CVE-2025-46762 が発見された。この脆弱性により、parquet-avro モジュールを使用するシステムに、リモート・コード実行 (RCE) 攻撃の可能性が生じている。この脆弱性は、Apache Parquet のバージョン 1.15.1 以下に影響を及ぼすものであり、2025年5月2日に、コントリビューターである Gang Wu により公開された。

SonicWall の脆弱性 CVE-2023-44221／CVE-2024-38475：任意のコード実行を実証する PoC が登場

SonicWall Exploit Chain Exposes Admin Hijack Risk via CVE-2023-44221 and CVE-2024-38475

2025/05/05 SecurityOnline — SonicWall の Secure Mobile Access (SMA) アプライアンスを標的とする、新たな PoC エクスプロイト・チェーンが公開された。この、watchTowr Labs が公開した技術情報は、脆弱性 CVE-2023-44221／CVE-2024-38475 を組み合わせることで、未認証のリモート攻撃者が管理者セッションを乗っ取り、任意のコード実行を達成する仕組みが解説されている。

macOS App Sandbox エスケープの脆弱性 CVE-2025-31191 が FIX：不正なコード実行の可能性

CVE-2025-31191: Microsoft Exposes macOS Vulnerability Allowing App Sandbox Escape

2025/05/05 SecurityOnline — macOS に存在する深刻な脆弱性について、Microsoft Threat Intelligence が明らかにした。この脆弱性を悪用する攻撃者は、App Sandbox を回避し、影響を受けるシステム上で不正なコード実行の可能性を得る。この脆弱性 CVE-2025-31191 により、サンド・ボックス化されたアプリ内のセキュリティ・スコープ・ブックマークの悪用と、ユーザーの操作を必要としない App Sandbox エスケープが、攻撃者に対して許されるため、深刻なリスクがもたらされる。